Authentifizieren am DC klappt nach einem Sicherheitupdate nicht mehr

Liebe Leute -

hoff in diesem Forum Rat zu finden ..

Ich hab bei einen Kunden auf einer physischen Maschine als FS und Hyper-V-Host auf dem 3 VMs laufen; eine davon ist der (einzige) DC dieser Domäne.
Nach einem Sicherheitsupdate am 12.8 am DC können Gruppenrichtlinien nicht mehr ausgeführt werden , auch VEEAM Backup klappt nicht mehr (Task failed. Error: Für die Authentifizierung war keine Autorität erreichbar.)

Das einzig gute: ich hab ein paar Tage Zeit , weil die Firma Urlaub hat... :)

Am FS hab ich jetzt diese Meldungen:

GPupdate /force bringt diese Meldung:

Fehler bei der Verarbeitung der Gruppenrichtlinie. Die Authentifizierung von Windows war für den Active Directory-Dienst auf einem Domänencontroller nicht möglich. (Fehler beim Aufruf der Funktion zur LDAP-Bindung). Den Fehlercode und eine Beschreibung finden Sie auf der Registerkarte "Details".

weiters kommen im Eventlog (System) die Warnung:

LSA (LsaSrv) ID40961

Das Sicherheitssystem konnte keine sichere Verbindung mit dem Server ldap/DC/xxx.LOCAL@xxx.LOCAL herstellen. Es war kein Authentifizierungsprotokoll verfügbar.

und:

Dieser Computer konnte sich nicht mit \\DC.xxx.local, einem Windows-Domänencontroller für Domäne xxx, authentifizieren. Aus diesem Grund wird dieser Computer möglicher- weise Anmeldeanforderungen ablehnen. Die Ursache hierfür ist möglicherweise ein anderer Computer im gleichen Netzwerk mit demselben Namen, oder das Kennwort für dieses Computerkonto wird nicht erkannt. Wenn Sie diese Meldung nochmals erhalten, sollten Sie sich an den Systemadministrator wenden.

Mit DCdiag kommt kein Fehler des DCs, nslookup klappt nach allen Richtungen - und mit Google werd ich net schlau weil ich leider bei Authentifizierung & AD ein Nackerpatzl bin..

Eine Idee WO ich ansetzen kann ? WAS ich tun kann ?

Danke für jede Anregung!

Benedikt